Ataques hackers em 2026

Invasores copiaram nome e CPF de toda a base de 7,6 milhões de clientes, ativos e antigos, da subsidiária da Caixa.

Acesso indevido ao portal e-Serviços expôs 30 mil cadastros e 4 mil chaves Pix de quem recebe pagamentos do governo.

O ataque derrubou o portal Docas Digital e o SAP da autoridade portuária; a movimentação de navios seguiu por rotinas alternativas.

Uma suposta invasão expôs 22 mil credenciais de acesso da polícia paulista.

Chaves de autenticação de clientes foram roubadas e usadas para gerar gastos não autorizados na nuvem.

Um agente de IA operado por uma pessoa explorou uma falha da Cisco para mapear a rede e levar dados, inclusive prontuários.

Invasores levaram dados de conta e cobrança e, de alguns clientes, datasets e pesos de modelos; foi a segunda invasão em semanas.

Dados pessoais do chanceler foram publicados na dark web, segundo ele em retaliação ao apoio à Ucrânia.

Acesso indevido ao fluxo de pagamento de garantias expôs nome, CPF, e-mail e data de nascimento de investidores.

Uma invasão por um prestador de serviços permitiu transferências fraudulentas; contas de clientes não foram afetadas.

Por meses, invasores roubaram e-mails e credenciais de clientes da hospedagem.

Carteiras quentes em dez blockchains foram esvaziadas; a corretora suspendeu as operações e cobre a perda dos clientes.

Apps oficiais da Ucrânia e da Rússia dispararam avisos falsos de ataque nuclear.

O maior roubo de cripto da história começou com uma falsa entrevista de emprego, em que um engenheiro baixou arquivos maliciosos.

Atribuído a Coreia do Norte (segundo o FBI)

Pelo sistema de login Okta, hackers expuseram dados de 41 mil agentes e contratados.

O ataque ao fornecedor DebugBear suspendeu as negociações; a plataforma promete ressarcir os usuários.

Dados de até 2,6 milhões de membros dos provedores So-net e plala podem ter vazado.

A comissão tirou do ar o sistema de registros a uma semana da eleição.

A corretora relatou vazamento de dados de funcionários e o regulador convocou reunião de emergência.

Um código malicioso no script de análise da Convertr copiava cartão, CVV e CPF nas páginas de pagamento de lojas de moda.

Atribuído a Magecart

A invasão expôs dados de clientes do serviço de domínios e veio com pedido de resgate.

Atribuído a Coreia do Norte (suspeita)

O grupo diz ter roubado 590 GB de um fornecedor, com dados de funcionários.

Atribuído a Everest

Pela segunda vez no ano, o pacote saiu com código que rouba chaves de API e senhas.

A invasão do sistema Quanum deu acesso a registros pessoais e de saúde de pacientes.

Criminosos dizem ter 7,34 TB de documentos de alunos e funcionários; a universidade investiga.

Uma credencial do serviço de backup deu acesso a contas Microsoft 365 de milhares de clientes; o serviço foi suspenso.

Atribuído a China

Vazaram 420 mil e-mails e 280 GB de documentos internos do partido.

Um acesso indevido expôs dados de 11,7 milhões de contas no mundo todo.

Hackers usaram IA para achar falhas em APIs de aplicativos e levar milhões de registros.

O grupo usou modelos de IA para automatizar ataques a centenas de bancos da região.

Atribuído a CyberCartel

Invasores acessaram o sistema de projetos sociais e telessaúde; a base geral de pacientes não foi atingida, diz o hospital.

Atribuído a The Seven Deadly Sins (reivindicação)

Uma falha numa ferramenta de análise de um fornecedor expôs nome, CPF, endereço e dados parciais de pagamento de compradores.

A invasão vazou código e dados pessoais de cerca de 1.500 pessoas.

Invasores mexeram nos controladores de refrigeração, o que forçou o descarte de alimentos e causou princípios de incêndio.

Atribuído a Guarda Revolucionária do Irã (segundo a França)

A dona das marcas de moda confirmou incidente com dados pessoais de clientes.

O ataque sobrecarregou a votação online das primárias, que foi prorrogada.

Dados pessoais e de saúde de pacientes foram extraídos e houve pedido de pagamento; a PF prendeu um suspeito em Joinville.

Hackers acessaram nome e contatos de clientes a partir de uma conta invadida.

O ataque de 24 de setembro expôs dados de 1,3 milhão de pessoas.

Uma conta de empresa autorizada, com senha 123456, fez 14 milhões de consultas e levou dados de 8,8 milhões de pessoas.

Acessos ao sistema de pedidos expuseram nome, CPF, contato e compras de clientes de 2020 a 2023.

Dados de 25 mil clientes foram expostos num ataque que pode ter usado ferramentas de IA.

Dados pessoais de milhões de militares da ativa e veteranos foram roubados ao longo de meses.

A Conferência Nacional dos Bispos perdeu o acesso ao seu perfil no X.

Os invasores manipularam um sistema interno de carteiras e forjaram saques; o fundo de proteção cobriu a perda.

Atribuído a Coreia do Norte (suspeita)

O grupo expôs dados e funções de 5 mil funcionários, inclusive de contraespionagem.

Atribuído a ShinyHunters

Um único hacker usou agentes de IA para atacar cem empresas em cinco dias e roubar dados de 618 mil cartões.

O sistema de voto eletrônico sofreu ataques maciços durante o pleito.

Os sites foram alterados para exibir links de apostas e prostituição e assim subir no Google.

FBI e Guarda Costeira apuram invasões que afetaram navegação e propulsão de navios-tanque.

O grupo publicou dados de motoristas depois que o resgate não foi pago.

Atribuído a ShinyHunters

Um golpe de engenharia social expôs dados de centenas de clientes e veio seguido de extorsão.

Uma falha de verificação permitiu criar bitcoins sem lastro na rede e trocá-los por BTC; o atacante devolveu 3.400 BTC.

Escolas começaram o ano letivo com chamada e horários em papel após um ataque nas férias.

A distribuidora de medicamentos confirmou o ataque, com milhões de registros de pacientes.

Vazaram 12 TB de arquivos internos, com protótipos de jogos como Half-Life 3.

O prefeito se recusou a pagar e o grupo leiloou 5,79 TB de dados da cidade.

Atribuído a Rhysida

A agência notificou o Congresso de um ataque grave reivindicado por um grupo de ransomware.

A gangue usou o agente de programação do Cursor para executar centenas de operações maliciosas entre abril e maio.

Atribuído a Aur0ra

O maior operador de aeroportos britânico expôs dados de 8,7 milhões de passageiros.

A fabricante de dispositivos médicos teve pedidos e envios de produtos parados no mundo todo.

A usina ficou parada quatro dias em julho.

Atribuído a Irã

A gestora de private equity investiga acesso a nomes, endereços e números da seguridade social.

Uma falha permitiu consultas a dados de membros do programa de fidelidade, inclusive parte do número do cartão.

A empresa de dados e IA confirmou acesso não autorizado aos seus sistemas.

O ataque expôs registros médicos de 3,7 milhões de pacientes.

O grupo divulgou trechos inéditos e o mapa do jogo e ameaçou novos vazamentos; a Take-Two perdeu US$ 2 bilhões em valor de mercado.

Atribuído a Cyberleek

A operadora cortou um cabo de rede para isolar invasores apoiados pela China antes que chegassem a dados sensíveis.

Atribuído a China

Servidores relataram invasão aos sistemas do INSS com alteração indevida de dados de benefícios.

Um ataque de negação de serviço derrubou a rede social mais uma vez.

O ataque expôs dados pessoais e fiscais de mais de 670 mil contribuintes.

Uma ofensiva conduzida por IA autônoma invadiu sistemas públicos e extraiu milhares de registros.

Atribuído a China

O grupo explorou falhas em softwares da PTC para roubar dados de dezenas de corporações.

Atribuído a Cl0p

Um grupo de extorsão especializado em transporte diz ter invadido a empresa.

A invasão paralisou sistemas dos portos de Wilmington e Morehead City.

O ataque à transportadora expôs dados de clientes de bancos, varejistas e da Steam na Europa.

A fabricante de notebooks confirmou acesso a nomes, endereços e contatos de clientes.

A campanha assumiu o controle de bombas e válvulas; em julho foram mais de cem sistemas atacados, segundo a CISA.

Atribuído a Irã (suspeita)

Uma falha no gerador de números aleatórios das carteiras permitiu quebrar as senhas e esvaziá-las.

Invasores entraram no sistema com os donos reais de empresas e fundações do país.

Uma falha no site da marca de moda expôs dados pessoais de clientes.

A empresa de transporte derrubou os próprios sistemas ao detectar o ataque e abriu investigação forense.

Um ataque coordenado atingiu 30 estações de tratamento de água do estado.

A empresa de energia ignorou alertas por três semanas e vazou dados de 900 mil clientes.

A plataforma de vaquinhas teve o sistema administrativo invadido, com nomes, CPFs e e-mails de usuários expostos.

Durante um teste, agentes de IA da OpenAI usaram uma falha desconhecida para sair do ambiente isolado e invadir servidores da Hugging Face.

Atribuído a Modelos de IA da OpenAI (sem intenção)

Um invasor levou o código-fonte da empresa de música por IA, e dados de 55 milhões de usuários vazaram.

O ataque à empresa de software expôs dados de milhares de hospitais e farmácias clientes.

A estatal de petróleo confirmou a invasão de sistemas, com dados de 3,3 mil contas expostos.

O ransomware bloqueou sistemas e parou a produção da unidade de laticínios.

Registros médicos e números do Medicare de pacientes de 21 clínicas foram expostos.

O ataque parou entregas de congelados e afetou redes como KFC e Kura Sushi.

Dados da AFA foram publicados em fóruns criminosos como protesto contra uma partida da Copa de 2026.

Um ransomware expôs prontuários, diagnósticos e exames de 500 mil pacientes; a ANPD abriu processo contra o instituto.

Um ataque expôs dados da rede de compartilhamento de informações sensíveis do DHS.

O ataque à fornecedora Klue expôs dados de clientes do gerenciador de senhas; os cofres não foram abertos.

Atribuído a Icarus

Uma credencial de 2022 abriu a plataforma de inteligência competitiva e expôs dados de clientes como Jamf e HackerOne.

Atribuído a Icarus

Os hospitais voltaram ao papel e caneta por quatro dias.

O grupo publicou 630 GB com segredos industriais da Apple e da Tesla, como planos do iPhone 18.

Atribuído a World Leaks

Com senhas fracas de servidores, um invasor disparou alertas falsos em dez estados e o sistema foi suspenso.

A companhia aberta comunicou um incidente que parou sistemas corporativos por três dias.

Um funcionário enganado deu acesso a dados de 6 milhões de clientes da operadora de cruzeiros.

Atribuído a ShinyHunters

O grupo injetou código malicioso em mais de mil pacotes usados por desenvolvedores.

Atribuído a TeamPCP

Uma falha num sistema estadual levou ao roubo de carteiras de motorista e passaportes de cerca de 3 milhões de pessoas.

A fabricante do Ozempic recusou pagar e o grupo publicou 1,3 TB de dados.

A agência do cinema identificou um ataque que vazou uma base antiga do sistema Ancine Digital, com CPF, CNPJ e contatos.

O site oficial foi desfigurado com mensagens de protesto.

Cibercriminosos entraram no aplicativo de mensagens dos servidores públicos por uma conta comprometida.

A credencial de um funcionário deu acesso a dados de saúde dos usuários do anel inteligente.

Os painéis exibiram uma montagem ofensiva de Bolsonaro e o presidente Santiago Peña mandou retirá-los.

O grupo levou dados de 40 milhões de clientes da instância da operadora no Salesforce.

Atribuído a ShinyHunters

A invasão paralisou o sistema de transporte da cidade por semanas.

Atribuído a Irã

A operadora expôs dados de clientes e de 27 mil interessados que preencheram a pré-venda.

A distribuidora mineira confirmou a exposição de nome, CPF, contato e valor de fatura de 135 mil clientes.

A fábrica de Wisconsin ficou parada uma semana; o grupo diz ter 8 TB com dados de Apple, Nvidia e Google.

Atribuído a Nitrogen

Um worm nos pacotes do TanStack chegou a computadores de funcionários da OpenAI e da Mistral e a mais de 160 pacotes.

Atribuído a TeamPCP

O ataque à plataforma de ensino adiou provas em universidades; a empresa fechou acordo com os hackers para reaver os dados.

Atribuído a ShinyHunters

Polícia Civil e Controladoria investigam a invasão de servidores estaduais, com dados e senhas de servidores postos à venda.

Servidores adulterados fizeram a ponte da LayerZero aceitar uma mensagem falsa e liberar tokens sem lastro.

Atribuído a Coreia do Norte

Os servidores do Ubuntu ficaram mais de um dia fora do ar por um ataque sustentado.

Invasores acessaram o software bancário da prefeitura e desviaram R$ 12 milhões; o resto foi bloqueado pela equipe técnica.

Criminosos invadiram o sistema do ministério e desviaram o dinheiro.

O ataque derrubou os canais de atendimento do banco de câmbio e pode ter exposto dados de clientes.

A invasão começou com credenciais roubadas de um funcionário da Context.ai, ferramenta de IA usada pela empresa.

Atribuído a Grupo ligado ao ShinyHunters

Hackers acessaram dados de reservas de clientes.

Os criminosos desviaram um pagamento da petroleira para outra conta.

Infiltrados numa conferência de cripto, os atacantes levaram signatários a pré-aprovar transações e esvaziaram os cofres.

Atribuído a Coreia do Norte

A startup de dados para treino de IA perdeu cerca de 4 TB pelo LiteLLM envenenado, pagou resgate e a Meta suspendeu o contrato.

Atribuído a TeamPCP e ShinyHunters

O museu teve arquivos digitais roubados e transferiu joias do acervo para o Banco da Itália.

Versões adulteradas da biblioteca, usada por milhões de projetos, instalaram um trojan por duas a quatro horas.

Atribuído a Coreia do Norte

O grupo publicou 1 GB de e-mails antigos; o Departamento de Justiça confirmou a invasão.

Atribuído a Handala (Irã)

Duas versões do pacote, baixado 95 milhões de vezes por mês, saíram com código que rouba chaves SSH e credenciais.

Atribuído a TeamPCP

Hackers desviaram recursos do próprio banco pelo Pix; o BTG suspendeu o Pix por um dia e diz que contas de clientes não foram tocadas.

Um ataque destrutivo pela ferramenta de gestão de dispositivos apagou computadores da fabricante de equipamentos médicos no mundo todo.

Atribuído a Handala (Irã)

O ataque apagou arquivos usados pela CPI da Saúde e cobrou resgate em bitcoin; a secretaria voltou a ser atacada em novembro.

Atribuído a LockBit

O Google desmontou uma campanha chinesa que invadiu operadoras e permitia monitorar chamadas e SMS de clientes.

Atribuído a UNC2814 (China)

O ransomware fechou cerca de trinta clínicas do estado e cancelou cirurgias eletivas.

Com computadores de executivos comprometidos, os invasores esvaziaram a tesouraria.

Uma investigação interna aponta ciberataque como causa provável do vazamento do nome de María Corina Machado antes do anúncio do Nobel da Paz.

Certificados antigos do Pix, vazados da prestadora JD Consultores, foram usados para movimentar uma conta do banco, que suspendeu o Pix.

A dona do BarraShopping e do MorumbiShopping confirmou acesso indevido à base do app Multi, com dados cadastrais e os quatro últimos dígitos de cartões.

Credenciais roubadas de um parceiro abriram a API de declarações de contratação, com dados de até 12 milhões de empregados.

O hospital desligou todos os servidores, cancelou cirurgias e transferiu sete pacientes graves.